16.12.2014 TURVALLISUUSSELVITYSLAKI YLEISESITTELY Aikaisempi laki osoittautui riittämättömäksi Turvallisuusselvityslaki (726/2014) ja siihen liittyvät säädökset tulevat voimaan 1.1.2015. Sillä kumotaan vuonna 2002 säädetty laki turvallisuusselvityksistä (177/2002). Lain säätämisen jälkeen monet maailmantapahtumat ja kansainvälisen yhteistyön tiivistyminen johtivat tiukentuviin turvallisuustoimiin ja tietoturvallisuusvaatimuksiin, jotka osoittivat, että lainsäädäntö Suomessa ei ollut riittävää. Jo vuonna 2004 tuli tarve säätää erityislaki kansainvälisistä tietoturvallisuusvelvoitteista (588/2004), jotta Suomi voisi täyttää siihen kohdistuvat vaatimukset ja suomalaiset yritykset osallistua sellaisiin kansainvälisiin hankintakilpailuihin, joiden toteuttamiseksi yritykset saavat salassa pidettäviä tietoa tai joiden perusteella tällaista tietoa syntyy. Lain tavoitteet Turvallisuusselvityslain tarkoituksena on parantaa mahdollisuuksia ennakolta ehkäistä toimintaa, joka voi vahingoittaa valtion turvallisuutta, maanpuolustusta, Suomen kansainvälisiä suhteita, yleistä turvallisuutta tai muuta niihin verrattavaa yleistä etua taikka erittäin merkittävää yksityistä taloudellista etua taikka tällaisten etujen suojaamiseksi toteutettavia turvallisuusjärjestelyjä. Lain avulla on pyritty luomaan tehokas menettely henkilöiden ja yritysten taustojen selvittämiseksi. Sen avulla osana yleisen edun suojaa turvataan turvallisuutta ja yhteiskunnan toimivuuden kannalta kriittisen infrastruktuurin toimivuutta riippumatta siitä, onko kysymys julkishallinnossa vai yksityissektorilla hoidettavasta tehtävästä. Turvallisuusselvityslain tarkoituksena on lähentää alan lainsäädäntöä vastaamaan kansainvälisesti yleisesti noudatettavia sääntöjä ja käytäntöjä. Lakia säädettäessä on kuitenkin otettu huomioon suomalaisen yhteiskunnan erityispiirteet, kuten henkilön tunnistettavuus henkilötunnuksen avulla ja erilaisten tietojärjestelmien kattavuus samoin kuin muu työnhakijan taustatietojen hankintaa koskeva lainsäädäntö.
2(6) Turvallisuusselvityslailla lisätään myös avoimuutta ja vuorovaikutteisuutta turvallisuusselvitysmenettelyssä sekä varmistetaan menettelyn tehokkuutta ja yhdenmukaisuutta lain soveltamisessa. Henkilöturvallisuusselvitys ja yritysturvallisuusselvitys Turvallisuusselvitysten avulla selvitetään joko luonnollisten henkilöiden (henkilöturvallisuusselvitys) tai yritysten (yritysturvallisuusselvitys) taustoja näiden luotettavuuden varmistamiseksi. Selvitysmenettelyt kohdistuvat henkilöihin ja yrityksiin, jotka pääsevät turvallisuuden kannalta kriittisiin tietoihin tai tehtäviin ja joissa edellytetään erityistä luotettavuutta tehtävien hoidossa. Mitä turvallisuusselvityksessä selvitetään? Turvallisuusselvitys perustuu ensisijaisesti asianomaisten aikaisempaa toimintaa ja olosuhteita koskeviin tietoihin. Henkilöturvallisuusselvityksissä merkittävässä asemassa on rikostaustan selvittäminen, josta tietoja hankitaan erityisesti viranomaisten pitämistä henkilörekistereistä. Yritysturvallisuusselvityksissä selvitetään yrityksen vastuuhenkilöiden rikostausta sekä yrityksen tietoturvallisuuden tasoa (toimitilat, organisaatio, tietojärjestelmät ja tietoliikennejärjestelyt) sekä yrityksen sitoumuksenhoitokykyä. Selvityksen kohteen asema suostumus, tiedonsaantioikeudet, huomautus- ja muutoksenhakuoikeus Selvitykset ja niihin liittyvä nuhteettomuuden seuranta tehdään aina vain selvityksen kohteena olevan henkilön tai yrityksen suostumuksella. Turvallisuusselvityksen tarpeesta on ilmoitettava jo esim. hakuilmoituksessa taikka hankintailmoituksessa tai tarjouspyynnössä. Selvityksen hakijan olisi ilmoitettava sille suullisesti tai kirjallisesti ilmoitetusta selvityksen lopputuloksesta tai todistuksen antamisesta. Yritys, josta turvallisuusselvitys on tehty, saisi aina yritysturvallisuusselvitystodistuksen omaa käyttöään varten. Henkilöturvallisuusselvityksen kohde voi haastattelun yhteydessä taikka henkilötietojen lomakkeen tarkistamismenettelyn yhteydessä esittää huomautuksen, josta olisi pääsäännön mukaan tehtävä merkintä turvallisuusselvitykseen, jollei tietoja heti oikaista. Muutosta toimivaltaisen viranomaisen päätöksestä voi hakea tietyissä asioissa (esim. turvallisuusselvitystodistuksen peruuttaminen). Toimivaltaisen viranomaisen päätöksestä, jolla on kieltäydytty laatimasta turvallisuusselvitys, ei sen sijaan saisi hakea muutosta.
3(6) Turvallisuusselvityksen vaikutukset Turvallisuusselvitys ei sido sitä, jonka käyttöä varten selvitys on laadittu. Uudistukseen sisältyneen valtion virkamieslain muutoksen (L 735/2014) mukaan virkaan nimittämisen edellytyksenä on, jos niin valtioneuvoston asetuksella säädetään, että virkaan nimitettävä on saanut henkilöturvallisuusselvitystodistuksen. Asetuksen valmistelu ei ole vireillä. Henkilöturvallisuusselvitykset Tasot ja toimivaltaiset viranomaiset Henkilöturvallisuusselvityksiä on kolme eri tasoa, jotka poikkeaisivat toisistaan käytettävien tietolähteiden laajuuden suhteen (suppea, perusmuotoinen ja laaja henkilöturvallisuusselvitys). Henkilöturvallisuusselvityksiä tekevät suojelupoliisi ja pääesikunta sekä poliisihallituksen määräämät yksiköt. Pääesikunta laatii henkilöturvallisuusselvitykset puolustusvoimien toimintaan liittyvistä henkilöistä ja suojelupoliisi perusmuotoiset ja laajat henkilöturvallisuusselvitykset muissa asioissa. Lain lähtökohtana on, että suppeita turvallisuusselvityksiä laatii jatkossa keskitetysti muutama poliisilaitos. Uudistukseen liittyvän tietojärjestelmän käyttöönottoaikataulun vuoksi tämä toteutuu vasta vuoden 2016 aikana, siihen asti selvityksiä tekevät kaikki poliisilaitokset. Menettelyn piiriin kuuluvat tehtävät Laissa määritellään tehtävät, joita hoitavista henkilöturvallisuusselvitys voidaan tehdä. Henkilöturvallisuusselvityksen piiriin suoraan lain nojalla kuuluvia tehtäviä ovat sellaiset valtionhallinnon tehtävät, joissa henkilö työtehtävissään käsittelee salassa pidettäviä ja tietoturvallisuusluokiteltuja tietoja samoin kuin esim. kriittisen infrastruktuurin avaintehtävät riippumatta siitä, onko kysymys viranomaisten tai yksityisen yrityksen tehtäviin hakeutuvista. Laissa on lisäksi annettu suojelupoliisille oikeus päätöksellään hyväksyä yrityksen muitakin kuin laissa yksityiskohtaisemmin lueteltuja tehtäviä turvallisuusselvitysmenettelyn piiriin yrityksen laissa määriteltyjen etujen vuoksi. Henkilöturvallisuusselvityksen tietolähteet Henkilöturvallisuusselvitysmenettelyssä selvitettäisiin henkilön rikostaustaa viranomaisten henkilörekisterien avulla. Näitä ovat mm. rikosrekisteri, sakkorekisteri, oikeushallinnon valtakunnallinen tietojärjestelmä (syyttäjällä tai tuomioistuimessa vireillä olevat ja ratkaistut asiat), poliisihallinnon rekisterit (poliisiasiain tietojärjestelmä, hallin-
4(6) toasiain tietojärjestelmä) sekä pääesikunnan pitämä sotilasoikeudenhoidon tietojärjestelmä. Perusmuotoisia henkilöturvallisuusselvityksiä tehtäessä voidaan käyttää myös suojelupoliisin toiminnalliseen tietojärjestelmään sisältyviä tietoja samoin kuin tietyin edellytyksin poliisin epäiltyjen rekisteriin sisältyviä tietoja henkilön kuulumisesta järjestäytyneeseen rikollisryhmään, pääesikunnan turvallisuustietorekisteriin talletettuja tietoja sekä ulosottorekisteriin ja luottotietorekisteriin talletettuja tietoja. Korkeimpiin tietoturvallisuusluokkiin kuuluvien tietojen käsittelyyn osallistuvista laadittavissa laajoissa turvallisuusselvityksissä selvitetään myös henkilön taloudellista tilannetta. Sääntelyn tarkoituksena on varmistaa, ettei selvityksen kohde ole sellaisessa tilanteessa, jossa on vaara esim. taloudellisia etuja tarjoamalla tai kiristystoimin vaikuttaa selvityksen kohteen käyttäytymiseen. Myös kohteen läheisten taustoja voidaan selvittää laatimalla heistä turvallisuusselvitys. Turvallisuusselvityksen yhteydessä voidaan tarvittaessa haastatella selvityksen kohdetta, mikä lisää menettelyn vuorovaikutteisuutta sekä antaa toimivaltaiselle viranomaiselle paremmat mahdollisuudet arvioida käytettävissään olevien tietojen merkitystä selvityksen lopputuloksen kannalta. Rikollista tekoa koskevien tietojen käyttöä säännellään nykyistä tarkemmin ja lainsäädännön yhtenäisen soveltamisen tueksi perustetaan arviointikriteerilautakunta, jonka avulla myös turvallisuusselvitysmenettelyn avoimuutta voitaisiin lisätä. Yritysturvallisuusselvitykset Toimivaltaiset viranomaiset Pääesikunta päättää yritysturvallisuusselvityksen tekemisestä yrityksestä, joka hoitaa tai jonka on tarkoitus hoitaa puolustusvoimien antamaa tehtävää, taikka yrityksestä, joka liittyy puolustusvoimien hankintoihin. Muissa tapauksissa (ns. siviilipuolen asiat) yritysturvallisuusselvityksen laatii suojelupoliisi. Viestintävirasto laatii yritysturvallisuusselvityksen osana tietojärjestelmien ja tietoliikenteen tietoturvallisuuden tasoa koskevan selvityksen. Yritysturvallisuusselvitys voidaan laatia myös osittaisena (esim. vain tietojärjestelmistä tai vastuuhenkilöiden taustoista). Yritysturvallisuusselvityksen laatimisen edellytykset ja tietolähteet Yritysturvallisuusselvityksen tarkoituksena on varmistaa, että yritys käsittelee viranomaisen salassa pidettäviä tietoja viranomaiseen kohdistuvia velvoitteita vastaavalla tavalla. Selvitys voidaan laatia viranomaisen pyynnöstä, jos yritys sopimuskumppanina saa luokiteltuja salassa pidettäviä tietoja viranomaiselta. Uusi laki kattaisi julkisista puolustusja turvallisuushankinnoista annetun lain (1531/2011) ulkopuolelle jäävät tilanteet, ts.
5(6) kilpailuttamisvelvoitteen ulkopuolelle jäävät Suomen viranomaisen hankkeet, kuten kynnysarvon alittavat hankinnat ja salassa pidettävät hankkeet, joissa välittyy yrityksille kaikista sensitiivisintä salassa pidettävää viranomaisten tietoa. Yritysturvallisuusselvitys laaditaan myös kansainvälisen tietoturvallisuusvelvoitteen toteuttamiseksi (ks. L 588/2004). Yritysturvallisuusselvityksen laadinnassa voidaan käyttää erilaisia yrityksen tietoja yrityksen toiminnasta ja taloudellisesta asemasta (esim. luottotiedot, ulosottorekisterin tiedot). Yrityksen toimitiloihin sekä tietojärjestelmiin ja tietoliikennejärjestelyihin kohdistetaan niiden tietoturvallisuuden tason selvittämiseksi tarkastus ja yrityksen vastuuhenkilöistä laaditaan henkilöturvallisuusselvitys. Turvallisuusselvitystodistus sekä sen ja turvallisuusselvityksen voimassaoloaika Turvallisuusselvityslaissa säädetyissä tapauksissa turvallisuusselvityksen perusteella annetaan henkilöturvallisuusselvitystodistus. Tämä vähentää tarvetta toistuvasti laatia selvitys esim. henkilöstä, joka työskentelee lyhyitä jaksoja erilaisissa suojattavissa kohteissa, kuten asennustehtävissä eri viranomaisissa. Yritysturvallisuusselvityksen perusteella annetaan aina todistus, jos yritys täyttää selvityksen perusteena olevat vaatimukset. Todistuksen antaa selvityksen laatinut viranomainen, jollei kysymys ole kansainvälisen tietoturvallisuusvelvoitteen toteuttamiseksi annattavasta todistuksesta, jolloin todistuksen antaa ulkoasianministeriön yhteydessä toimiva kansallinen turvallisuusviranomainen (NSA). Turvallisuusselvitykset ja niiden perusteella annetut todistukset olisivat pääsäännön mukaan voimassa viisi vuotta. Turvallisuusselvitysrekisteri ja luotettavuuden seuranta Suojelupoliisi pitää turvallisuusselvitysrekisteriä, jonka on tarkoitus tulla käyttöön vuoden 2016 aikana. Turvallisuusselvityksen ja sen perusteella annetun todistuksen voimassaolon edellytyksiä voidaan seurata: turvallisuusselvitysrekisterin tiedot voidaan yhdistää oikeushallinnon valtakunnallisen tietojärjestelmän ja poliisiasiain tietojärjestelmän tietoihin. Laissa säädettään, missä tilanteissa annettu todistus voidaan peruuttaa tai ilmoittaa seurannassa ilmenneistä tuomioista ja muista seikoista hakijalle tai työnantajalle. Turvallisuusselvitysrekisterin laissa määriteltäviä tietoja voidaan välittää eduskunnan kanslialle ja ministeriöiden niille virkamiehille, jotka hoitavat turvallisuusselvitysten hankkimista. Tiedonvälityksen avulla voidaan kokonaan estää tarpeettomien turvallisuusselvitysten vireille tuleminen.
6(6) Arviointikriteerilautakunta soveltamista yhtenäistämään Yhdenmukaisten menettelyjen varmistamiseksi perustetaan erityinen valtioneuvoston asettama arviointikriteerilautakunta. Lautakunta voi antaa turvallisuusselvityksiä laativien viranomaisten toiminnan tueksi tulkintasuosituksia lain soveltamiseen liittyvistä tilanteista. Tulkintasuosituksia voitaisiin antaa esimerkiksi siitä, mitkä seikat voivat vaikuttaa turvallisuusselvitystodistuksen antamiseen tai turvallisuusselvityksen ja sen perusteella annetun turvallisuusselvitystodistuksen peruuttamiseen. Tulkintasuositukset olisivat luonteeltaan yleisiä. Lautakunta antaa lausunnon yrityksen eräiden tehtävien hyväksymisestä henkilöturvallisuusselvitysmenettelyn piiriin. Lausuntomenettelyä pidettiin näissä tapauksissa perusteltuna turvallisuusselvitysmenettelyn laajentamista koskevan päätöksen poikkeusluonteen vuoksi ja ottaen huomioon tarve varmistaa lain yhtenäinen täytäntöönpano välittömästi lain voimaantullessa sekä hakijoina toimivien yritysten että selvitysten kohteen yhdenvertaisen kohtelun vuoksi. Turvallisuusselvityslain mukaan turvallisuusselvityksiä laatii ja niiden perusteella annettavia todistuksia koskevia asioita käsittelee usea eri viranomainen. Uudistuksen tavoitteena on ollut varmistaa lain yhdenmukainen soveltaminen riippumatta siitä, mikä viranomainen asiaa kulloinkin käsittelee.